Zend框架2 CSRF保护

Question

目前我尝试使用Zend Framework 2的CSRF保护。

但每次我发送表单时，都会收到以下错误消息：

提交的表格不是来自预期的网站

我以这种方式实施了CSRF保护：

1）创建了一个Form Class并添加了csrf：

$this->add(array(
    'type' => 'Zend\Form\Element\Csrf',
    'name' => 'secret',
    'options' => array(
        'csrf_options' => array(
            'timeout' => 600
        )
    )
));

2）在view文件中呼应csrf元素：

 echo $this->form()->openTag($forgotPasswordForm);
 echo $this->formRow($forgotPasswordForm->get('email'));
 echo $this->formRow($forgotPasswordForm->get('secret'));
 echo $this->formSubmit($forgotPasswordForm->get('submit'));
 echo $this->form()->closeTag($forgotPasswordForm);

我发现csrf令牌没有存储在会话中，但是为什么呢？

Answer 1

我只是在表单中使用csrf/元素，在输入验证器中使用csrf/验证器。csrf/验证器必须使用与元素相同的名称构造

Answer 2

您可以在控制器中实例化表单，或者用DI注入，但是$form-

我使用这个备忘单，它是我为ZF2找到的最好的备忘单，它几乎包含了原则2的内容。http://zf2cheatsheet.com/#controller

这是我用的代码。

<?php
// module/Album/src/Album/Form/AlbumForm.php:
namespace Album\Form;

use Zend\Form\Form;
use Zend\Form\Element;

class AlbumForm extends Form
{

    public function __construct($name = null)
    {

        parent::__construct('album');
        $this->add(array(
            'name' => 'id',
            'type' => 'Hidden',
        ));
        /* not including other elements for short answer*/
        **$this->add(new Element\Csrf('security'));**

        $this->add(array(
            'name' => 'submit',
        'type' => 'Submit',
        'attributes' => array(
            'value' => 'Go',
            'id' => 'submitbutton',
            ),
        ));
    }

}

<?php
// module/Album/view/album/album/add.phtml:
$form->setAttribute('action', $this->url('album', array(
        'action' => 'add' )));
**$form->prepare();**

echo $this->form()->openTag($form);
echo $this->formHidden($form->get('id'));
echo $this->formRow($form->get('title'));
echo $this->formRow($form->get('artist'));
**echo $this->formHidden($form->get('security'));**
echo $this->formSubmit($form->get('submit'));
echo $this->form()->closeTag();

Answer 3

我的控制器中有一行：

$forgotPasswordForm = new ForgotPassword();
$forgotPasswordForm->prepare();

我移动了$forgotPasswordForm-

谢谢你的支持！